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Det Europæiske Databeskyttelsesråd har — 


under henvisning til artikel 70, stk. 1, litra e), i Europa-Parlamentets og Rådets forordning (EU) 
2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af 
personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF 


VEDTAGET FØLGENDE RETNINGSLINJER 


1 DEL1=— INDLEDNING 


1.1 Baggrund 


I medfør af artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder skal 
personoplysninger behandles rimeligt, til udtrykkeligt angivne formål og på et ved lov fastsat grundlag. 
| denne forbindelse præciseres det i artikel 6, stk. 1, i den generelle forordning om databeskyttelse! 
(GDPR), at behandlingen kun er lovlig, hvis den er begrundet i én af seks præciserede betingelser, der 
er omhandlet i artikel 6, stk. 1, litra a) til f). Det er af afgørende betydning at det passende retsgrundlag, 
der svarer til målsætningen og de væsentligste betingelser for behandlingen, identificeres. 
Dataansvarlige skal bl.a. tage hensyn til indvirkningen på de registreredes rettigheder, når de 
fastlægger det passende retsgrundlag, med henblik på at respektere princippet om rimelighed. 


Artikel 6, stk. 1, litra b), i GDPR udgør et retsgrundlag for behandlingen af personoplysninger, for så 
vidt "behandling er nødvendig af hensyn til opfyldelse af en kontrakt, som den registrerede er part i, 
eller af hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning 
forud for indgåelse af en kontrakt".? Dette støtter friheden til at drive egen virksomhed, som er sikret 
ved artikel 16 i chartret, og afspejler den omstændighed, at de kontraktlige forpligtelser over for den 
registrerede i nogle tilfælde ikke kan opfyldes, medmindre den registrerede stiller visse 
personoplysninger til rådighed. Hvis den specifikke behandling er en del af den anmodede tjeneste, vil 
det være i begge parters interesse at behandle disse oplysninger, da tjenesten ellers ikke ville kunne 
leveres, og kontrakten ikke ville kunne opfyldes. Evnen til at påberåbe sig dette eller et af de andre 
retsgrundlag, som er nævnt i artikel 6, stk. 1, fritager imidlertid ikke den dataansvarlige fra forpligtelsen 
til at overholde de øvrige krav i GDPR. 


Artikel 56 og 57 i traktaten om Den Europæiske Unions funktionsmåde fastlægger og regulerer fri 
udveksling af tjenester inden for Den Europæiske Union. Specifikke lovgivningsmæssige 
foranstaltninger inden for EU er vedtaget med hensyn til "informationssamfundets tjenester".3 Disse 
tjenester defineres som "enhver tjeneste, der normalt leveres mod betaling, og som teleformidles ad 
elektronisk vej på individuel anmodning fra en tjenestemodtager." Denne definition omfatter også 
tjenester, der ikke betales direkte af personerne, som modtager dem,” såsom onlinetjenester, som 


1 Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med 
behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel 
forordning om databeskyttelse). 

2 Se også betragtning 44. 

3 Se f.eks. Europa-Parlamentets og Rådets direktiv (EU) 2015/1535, og artikel 8 i GDPR. 

4 Se betragtning 18 i Europa-Parlamentets og Rådets direktiv 2000/31/EF af 8. juni 2000 om visse retlige aspekter af 
informationssamfundstjenester, navnlig elektronisk handel, i det indre marked. 


10. 


finansieres af reklameindtægter. Begrebet "onlinetjenester" henviser i disse retningslinjer til 
"informationssamfundets tjenester". 


Udviklingen i EU-lovgivningen afspejler onlinetjenesters centrale betydning i det moderne samfund. 
Den stadig større forekomst af konstant mobil internetadgang og den udbredte tilgængelighed af 
internetforbundne enheder har muliggjort udviklingen af onlinetjenester inden for områder såsom 
sociale medier, elektronisk handel, internetsøgning, kommunikation og rejser. Nogle af disse tjenester 
finansieres gennem brugerbetaling, mens andre stilles til rådighed uden brugerbetaling og finansieres 
i stedet gennem salg af onlinereklametjenester, der giver mulighed for en målrettet indsats mod de 
registrerede. Tracking af brugeradfærd med sådan reklame som formål udføres ofte på måder, som 
brugeren ikke er klar over,” og måske er det ikke umiddelbart indlysende ud fra karakteren af tjenesten, 
der stilles til rådighed, hvilket i praksis gør det næsten umuligt for den registrerede at træffe et 
informeret valg angående brugen af dennes oplysninger. 


På baggrund heraf anser Det Europæiske Databeskyttelsesrådf (Databeskyttelsesrådet) det for 
passende at give vejledning om betingelserne for anvendelse af artikel 6, stk. 1, litra b), til behandling 
af personoplysninger i forbindelse med onlinetjenester for at sikre, at dette retsgrundlag kun 
påberåbes, hvor det er hensigtsmæssigt. 


Artikel 29-Gruppen har tidligere givet udtryk for nødvendigheden af det kontraktmæssige grundlag i 
henhold til direktiv 95/46/EF i sin udtalelse om begrebet om den dataansvarliges legitime interesser.” 
Generelt set er vejledningen fortsat relevant for artikel 6, stk. 1, litra b), og for GDPR. 


1.2. Retningslinjernes anvendelsesområde 


Disse retningslinjer vedrører anvendelsen af artikel 6, stk. 1, litra b), om behandling af 
personoplysninger i forbindelse med kontrakter vedrørende onlinetjenester, uanset hvordan 
tjenesterne finansieres. Retningslinjerne vil redegøre for aspekterne vedrørende lovlig behandling i 
henhold til artikel 6, stk. 1, litra b), i GDPR og se nærmere på begrebet "nødvendighed", som det 
anvendes i "nødvendig af hensyn til opfyldelse af en kontrakt". 


Databeskyttelsesregler regulerer vigtige aspekter med hensyn til, hvordan onlinetjenester interagerer 
med deres brugere, men også andre regler finder anvendelse. Regulering af onlinetjenester indebærer 
horisontale ansvar inden for områder som bl.a. forbrugerbeskyttelsesret og konkurrencelovgivning. 
Overvejelser vedrørende disse lovgivningsområder ligger uden for rammerne af disse retningslinjer. 


Selvom artikel 6, stk. 1, litra b), kun kan finde anvendelse i en kontraktlig sammenhæng, indtages der 
med disse retningslinjer ikke nogen holdning til gyldigheden af kontrakter vedrørende onlinetjenester 
generelt, da det ligger uden for Databeskyttelsesrådets kompetence. Ikke desto mindre skal kontrakter 
og kontraktvilkår være i overensstemmelse med de aftaleretlige bestemmelser og, som det eventuelt 
er tilfældet for forbrugeraftaler, forbrugerbeskyttelsesretten, for at behandling, der er baseret på disse 
vilkår, kan betragtes som rimelig og lovlig. 


Der er anført nogle generelle bemærkninger om databeskyttelsesprincipper nedenfor, men ikke alle 
databeskyttelsesspørgsmål, som kan opstå under behandlingen i henhold til artikel 6, stk. 1, litra b), vil 
blive beskrevet. Dataansvarlige skal altid sikre, at de overholder databeskyttelsesprincipperne, der er 


5 | den forbindelse skal de dataansvarlige opfylde de forpligtelser til gennemsigtighed, der er fastsat i GDPR. 
6 Fastlagt i artikel 68 i GDPR. 


7 Artikel 29-Gruppens udtalelse 06/2014 om begrebet om den dataansvarliges legitime interesser i henhold til artikel 7 i direktiv 


95/46/EF (WP217). Se navnlig side 11, 16, 17, 18 og 55. 


11. 


12. 


13. 


14. 


15. 


omhandlet i artikel 5, og alle andre krav i GDPR samt, hvor det er relevant, 
databeskyttelseslovgivningen. 


2 DEL2 — ANALYSE AF ARTIKEL 6, STK. 1, LITRA B) 


2.1 Generelle bemærkninger 


Retsgrundlaget for behandling på grundlag af artikel 6, stk. 1, litra b), skal tages i betragtning i 
sammenhæng med GDPR i dens helhed, de fastsatte målsætninger i artikel 1, og sideløbende med 
dataansvarliges pligt til at behandle  personoplysninger i overensstemmelse med 
databeskyttelsesprincipperne i medfør af artikel 5. Dette omfatter behandling af personoplysninger på 
en rimelig og gennemsigtig måde og i overensstemmelse med forpligtelserne til formålsbegrænsning 
og dataminimering. 


I artikel 5, stk. 1, litra a), i GDPR fastslås det, at personoplysninger skal behandles lovligt, rimeligt og på 
en gennemsigtig måde i forhold til den registrerede. Princippet om rimelighed omfatter bl.a. 
anerkendelse af rimelige forventninger? hos de registrerede, overvejelse af eventuelle negative 
konsekvenser, som behandlingen kan have for dem, og inddragelse af forhold og potentielle virkninger 
af ubalance mellem dem og den dataansvarlige. 


Som nævnt skal kontrakter vedrørende onlinetjenester af lovlighedshensyn være gyldige i henhold til 
den gældende aftaleret. Et eksempel på en relevant faktor er, hvorvidt den registrerede er et barn. I 
et sådan tilfælde (og udover at være i overensstemmelse med kravene i GDPR, herunder for "særlig 
beskyttelse", som gælder for børn),? skal den dataansvarlige sikre overensstemmelse med de relevante 
nationale love om børns evne til at indgå kontrakter. Endvidere skal den dataansvarlige efterkomme 
andre lovgivningskrav for at sikre overensstemmelse med principperne om rimelighed og lovlighed. 
F.eks. kan direktiv 93/13/EØF om urimelige kontraktvilkår i forbrugeraftaler ("direktivet om urimelige 
kontraktvilkår") finde anvendelse på forbrugeraftaler.?? Artikel 6, stk. 1, litra b), er ikke begrænset til 
kontrakter, som er omfattet af loven i en EØS-stat.”” 


I artikel 5, stk. 1, litra b), i GDPR tages der højde for princippet om formålsbegrænsning, i henhold til 
hvilket personoplysninger skal indsamles af hensyn til udtrykkeligt angivne og legitime formål og ikke 
må viderebehandles på en måde, der er uforenelig med disse formål. 


I artikel 5, stk. 1, litra c), tages der højde for dataminimering som et princip, dvs. behandling af så få 
personoplysninger som muligt for at opfylde formålet. Denne vurdering supplerer 
nødvendighedsvurderingerne i medfør af artikel 6, stk. 1, litra b) til f). 


8 Nogle personoplysninger forventes at være private eller kun behandlet på bestemte måder, og databehandling bør ikke 
komme som nogen overraskelse for den registrerede. | GDPR er begrebet "rimelige forventninger" særligt beskrevet i 
betragtning 47 og 50, for så vidt angår artikel 6, stk. 1, litra f), og stk. 4. 

2 Se betragtning 38, der henviser til, at børn bør nyde særlig beskyttelse af deres personoplysninger, eftersom de ofte er 
mindre bevidste om de pågældende risici, konsekvenser og garantier og om deres rettigheder, for så vidt angår behandling 
af personoplysninger. 

10 Et kontraktvilkår, som ikke har været genstand for individuel forhandling, anses i henhold til direktivet om urimelige 
kontraktvilkår for urimeligt, "hvis det til trods for kravene om god tro bevirker en betydelig skævhed i parternes rettigheder 
og forpligtelser ifølge aftalen til skade for forbrugeren". Ligesom forpligtelsen til gennemsigtighed i GDPR fastsætter direktivet 
om urimelige kontraktvilkår brugen af et klart og forståeligt sprog. Behandling af personoplysninger, der er baseret på det, 
der anses for at være et urimeligt vilkår i henhold til direktivet om urimelige kontraktvilkår, vil normalt ikke være i 
overensstemmelse med kravet i henhold til artikel 5, stk. 1, litra a), i GDPR, om at behandling er lovlig og rimelig. 

11 GDPR finder anvendelse på bestemte dataansvarlige uden for EØS. Se artikel 3 i GDPR. 


16. 


17. 


18. 


19, 


20. 


Principperne om hhv. formålsbegrænsning og dataminimering er særligt relevante i forbindelse med 
kontrakter vedrørende onlinetjenester, som typisk ikke indgås på individuel basis. Teknologiske 
fremskridt gør det muligt for dataansvarlige nemt at indsamle og behandle flere personoplysninger 
end nogensinde før. Som følge heraf er der en akut risiko for, at dataansvarlige måske forsøger at 
inkludere generelle begreber om behandling i kontrakter for at maksimere den mulige indsamling og 
brug af oplysninger uden tilstrækkelig angivelse af formålene eller hensyntagen til forpligtelser til 
dataminimering. Artikel 29-Gruppen har tidligere udtalt: 


Formålet med indsamlingen skal være tydeligt og specifikt angivet: det skal være tilstrækkeligt 
detaljeret til at fastslå, hvilken slags behandling der hhv. er og ikke er omfattet af det angivne 
formål, og til at gøre det muligt at vurdere overholdelsen af lovgivningen. Af disse grunde 
opfylder et formål, som er vagt eller generelt, som f.eks. "forbedre brugeroplevelse", 
"markedsføringsformål", "IT-sikkerhedsmæssige formål" eller "fremtidig forskning" normalt 


ikke kriterierne for at være "specifikt". + 


2.2 Interaktion mellem artikel 6, stk. 1, litra b), og andre retsgrundlag for behandling 


Når behandling ikke anses for "nødvendig af hensyn til opfyldelse af en kontrakt", dvs. når en anmodet 
tjeneste kan leveres uden at den specifikke behandling finder sted, anerkender Databeskyttelsesrådet, 
at et andet retsgrundlag kan finde anvendelse, forudsat at de relevante betingelser er opfyldt. Særligt 
kan det under visse omstændigheder være mere hensigtsmæssigt at påberåbe sig frit givet samtykke i 
henhold til artikel 6, stk. 1, litra a). | andre tilfælde kan artikel 6, stk. 1, litra f), indeholde et mere 
passende retsgrundlag for behandling. Retsgrundlaget skal fastsættes ved indledningen af 
behandlingen, og information, som gives til de registrerede i overensstemmelse med artikel 13 og 14, 
skal specificere retsgrundlaget. 


Det er muligt, at et andet retsgrundlag end artikel 6, stk. 1, litra b), er i bedre overensstemmelse med 
målsætningen og rammerne for den pågældende behandlingsaktivitet. Fastsættelsen af det passende 
retsgrundlag er knyttet til principper om rimelighed og formålsbegrænsning.””? 


| Artikel 29-Gruppens retningslinjer for samtykke præciseres det også, at hvis "en dataansvarlig 
forsøger at behandle personoplysninger, der rent faktisk er nødvendige af hensyn til opfyldelsen af en 
kontrakt, så er samtykke ikke det passende retsgrundlag". Omvendt er Databeskyttelsesrådet af den 
opfattelse, at hvis behandling egentlig ikke er nødvendig af hensyn til opfyldelse af en kontrakt, kan 
denne behandling kun finde sted, hvis man påberåber sig et andet passende retsgrundlag.” 


I overensstemmelse med deres forpligtelser til gennemsigtighed bør de dataansvarlige sikre, at der 
ikke opstår forvirring med hensyn til, hvilket retsgrundlag der er gældende. Dette er særlig relevant i 
tilfælde, hvor det passende retsgrundlag er artikel 6, stk. 1, litra b), og hvor de registrerede har indgået 
en kontrakt vedrørende onlinetjenester. Afhængigt af omstændighederne kan de registrerede 
fejlagtigt få det indtryk, at de giver deres samtykke i overensstemmelse med artikel 6, stk. 1, litra a), 
når de underskriver en kontrakt eller accepterer servicevilkår. Samtidig kan en dataansvarlig fejlagtigt 
antage, at undertegnelsen af en kontrakt svarer til et samtykke som omhandlet i artikel 6, stk. 1, litra 





12 Artikel 29-Gruppens udtalelse 03/2013 om formålsbegrænsning (WP203), side 15-16. 

13 Når dataansvarlige går i gang med at fastsætte det passende retsgrundlag i overensstemmelse med princippet om 
rimelighed, bliver dette vanskeligt at opnå, hvis de ikke først klart har fastsat formålet med behandlingen, eller hvis 
behandlingen af personoplysninger går ud over, hvad der er nødvendigt af hensyn til de angivne formål. 

14 For flere informationer om konsekvenser, for så vidt angår artikel 9, se Artikel 29-Gruppens retningslinjer for samtykke i 
henhold til forordning 2016/679 (WP259), godkendt af Databeskyttelsesrådet, side 19-20. 


21. 


22. 


23. 


24. 


25. 


a). Disse er vidt forskellige begreber. Det er vigtigt at sondre mellem accept af vilkår for indgåelse af 
en kontrakt og afgivelse af samtykke i henhold til artikel 6, stk. 1, litra a), da disse begreber har 
forskellige krav og retsvirkninger. 


I forbindelse med behandling af specielle kategorier af personoplysninger har Artikel 29-Gruppen også 
anført i retningslinjerne for samtykke, at: 


Artikel 9, stk. 2, anerkender ikke "nødvendig af hensyn til opfyldelse af en kontrakt" som en 
undtagelse fra det generelle forbud mod at behandle specielle kategorier af oplysninger. Derfor 
bør dataansvarlige og medlemsstater, der håndterer denne situation, undersøge de særlige 
undtagelser i artikel 9, stk. 2, litra b) til j). Hvis ingen af undtagelserne i litra b) til j) finder 
anvendelse, er den eneste mulige lovlige undtagelse for at behandle sådanne oplysninger at 
opnå et udtrykkeligt tilsagn i overensstemmelse med betingelserne for gyldigt samtykke i 
GDPR.” 


2.3 Anvendelsesområde for artikel 6, stk. 1, litra b) 


Artikel 6, stk. 1, litra b), finder anvendelse, hvis én af to betingelser er opfyldt: Den pågældende 
behandling skal være objektivt nødvendig af hensyn til opfyldelsen af en kontrakt med en registreret, 
eller behandlingen skal være objektivt nødvendig af hensyn til gennemførelsen af foranstaltninger 
forud for kontrakten på anmodning af en registreret. 


2.4 Nødvendighed 


Nødvendigheden af behandling er en forudsætning for begge dele af artikel 6, stk. 1, litra b). 
Indledningsvis er det vigtigt at understrege, at begrebet om hvad der er "nødvendig[t] af hensyn til 
opfyldelse af en kontrakt", ikke blot er en vurdering af, hvad der er tilladt i henhold til eller indskrevet 
i kontraktvilkårene. Begrebet om nødvendighed har en selvstændig betydning i EU-retten som skal 
afspejle målsætningerne i databeskyttelseslovgivningen”, Derfor indebærer det også overvejelser om 
den grundlæggende ret til privatlivets fred og beskyttelse af personoplysninger”, samt kravene i 
databeskyttelsesprincipperne, herunder især princippet om rimelighed. 


Udgangspunktet er fastsættelse af formålet med behandlingen, og inden for rammerne af et 
kontraktmæssigt forhold kan der være en lang række formål med behandling. Disse formål skal være 
tydeligt angivet og meddelt til den registrerede i overensstemmelse med den dataansvarliges 
formålsbegrænsning og gennemsigtighedsforpligtelser. 


En vurdering af, hvad der er "nødvendigt", indebærer en kombineret, faktabaseret vurdering af 
behandlingen "til det formål, der forfølges, og om det er mindre indgribende sammenlignet med andre 
muligheder for at opnå det samme mål". Hvis der findes realistiske, mindre indgribende alternativer, 


15 Artikel 29-Gruppens retningslinjer for samtykke i henhold til forordning 2016/679 (WP259), godkendt af 
Databeskyttelsesrådet, side 19. 

16 Den Europæiske Unions Domstol anførte i Huber, at "det [er] et selvstændigt fællesskabsretligt begreb [nødvendighed], 
som skal fortolkes i fuld overensstemmelse med direktivets formål, [direktiv 95/46], som det er formuleret i dets artikel 1, 
stk. 1". EU-Domstolen, Sag C-524/06, Heinz Huber v Bundesrepublik Deutschland, 18. december 2008, præmis 52. 

17 Se artikel 7 og 8 i Den Europæiske Unions charter om grundlæggende rettigheder 

18 Se Den Europæiske Tilsynsførendes værktøjskasse: Vurdering af nødvendigheden af foranstaltninger, der begrænser den 
grundlæggende ret til beskyttelse af personoplysninger, side 5. 


26. 


27. 


28. 


er behandlingen ikke "nødvendig". Artikel 6, stk. 1, litra b), vil ikke være dækkende i forhold til 
behandling, som er nyttig, men ikke objektivt nødvendig af hensyn til opfyldelsen af den kontraktlige 
tjeneste eller gennemførelsen af foranstaltninger forud for kontrakten på anmodning af den 
registrerede, også selvom den er nødvendig af hensyn til den dataansvarliges andre 
forretningsmæssige formål. 


2.5. Nødvendig af hensyn til opfyldelse af en kontrakt med den registrerede 


En dataansvarlig kan påberåbe sig den første mulighed i artikel 6, stk. 1, litra b), når det, i 
overensstemmelse med ansvarlighedsforpligtelserne i henhold til artikel 5, stk. 2, kan fastslås, at 
behandlingen finder sted i forbindelse med en gyldig aftale med den registrerede, og at behandling er 
nødvendig, for at den bestemte kontrakt med den registrerede kan opfyldes. Hvis dataansvarlige ikke 
kan påvise, at a) der foreligger en kontrakt, b) kontrakten er gyldig i medfør af gældende national 
aftaleret, og c) behandlingen er objektivt nødvendig af hensyn til opfyldelse af kontrakten, bør den 
dataansvarlige overveje et andet retsgrundlag for behandling. 


Henvisninger til og benævnelser af databehandling i en kontrakt er ikke i sig selv nok til at henlede 
opmærksomheden på behandlingen inden for rammerne af artikel 6, stk. 1, litra b). På den anden side 
kan behandling være objektivt nødvendig, selvom den ikke er udtrykkeligt nævnt i kontrakten. Den 
dataansvarlige skal under alle omstændigheder overholde sine forpligtelser i henseende til 
gennemsigtighed. Hvis en dataansvarlig forsøger at fastslå, at behandlingen er baseret på opfyldelsen 
af en kontrakt med den registrerede, er det vigtigt at vurdere, hvad der er objektivt nødvendigt af 
hensyn til opfyldelsen af kontrakten. "Nødvendigt af hensyn til opfyldelse" kræver helt klart noget 
mere end en kontraktbestemmelse. Dette fremgår også af artikel 7, stk. 4. Selvom denne bestemmelse 
kun vedrører et samtykkes gyldighed, skelner den illustrativt mellem behandlingsaktiviteter, der er 
nødvendige af hensyn til opfyldelse af en kontrakt, og klausuler, hvor tjenesten gøres betinget af visse 
behandlingsaktiviteter, der egentlig ikke er nødvendige af hensyn til opfyldelse af kontrakten. 


| den forbindelse tilslutter Databeskyttelsesrådet sig Artikel 29-Gruppens hidtidige vejledning til den 
tilsvarende bestemmelse i henhold til det foregående direktiv om at "nødvendig af hensyn til 
opfyldelse af en kontrakt med den registrerede": 


… Skal fortolkes strengt og omfatter ikke situationer, hvor behandlingen ikke er reelt nødvendig 
af hensyn til opfyldelse af en kontrakt, men derimod ensidigt pålagt den registrerede af den 
dataansvarlige. Det forhold, at behandlingen af visse oplysninger er omfattet af en kontrakt, 
indebærer desuden ikke automatisk, at behandlingen er nødvendig af hensyn til kontraktens 
opfyldelse. [...] Selvom disse behandlingsaktiviteter er nævnt specifikt i det, der står skrevet 





19 | Schecke fandt EU-Domstolen, at den lovgivende myndighed skulle tage højde for alternative, mindre indgribende 
foranstaltninger ved vurdering af nødvendigheden af at behandle personoplysninger. EU-Domstolen, Forenede sager C-92/09 
og C-93/09, Volker und Markus Schecke GbR and Hartmut Eifert v Land Hessen, 9. november 2010. Dette blev gentaget af EU- 
Domstolen i Rigas sagen, hvor den fandt, at "Med hensyn til betingelsen om, at behandlingen af oplysninger skal være 
nødvendig, skal der henvises til, at undtagelser fra og begrænsninger af beskyttelsen af personoplysninger skal holdes inden 
for det strengt nødvendige". EU-Domstolen, Sag C-13/16, Valsts policijas Rigas reģiona pārvaldes Kārtības policijas pārvalde 
v Rīgas pašvaldības SIA 'Rīgas satiksme', præmis 30. En streng prøvning af nødvendigheden er påkrævet for eventuelle 
begrænsninger i udøvelsen af retten til privatlivets fred og beskyttelsen af personoplysninger i forbindelse med behandling 
af personoplysninger, jf. Den Europæiske Tilsynsførendes værktøjskasse: Vurdering af nødvendigheden af foranstaltninger, 
der begrænser den grundlæggende ret til beskyttelse af personoplysninger, side 7. 


29, 


30. 


31. 


32. 


33. 


med småt i kontrakten, gør dette dem ikke i sig selv "nødvendige" af hensyn til opfyldelse af en 
kontrakt.” 


Databeskyttelsesrådet minder også om den samme vejledning fra Artikel 29-Gruppen, hvori det 
anføres: 


Der er en klar forbindelse mellem vurderingen af nødvendighed og overensstemmelse med 
princippet om formålsbegrænsning. Det er vigtigt at fastslå den præcise begrundelse for 
kontrakten, dvs. dens indhold og grundlæggende målsætning, da det bliver testet på denne 
baggrund, om databehandlingen er nødvendig af hensyn til kontraktens opfyldelse.” 


Ved vurderingen af, hvorvidt artikel 6, stk. 1, litra b), er et passende retsgrundlag for behandling i 
forbindelse med en kontraktlig onlinetjeneste, bør der tages hensyn til tjenestens særlige sigte, formål 
eller målsætning. For anvendelsen af artikel 6, stk. 1, litra b), kræves det, at behandlingen er objektivt 
nødvendig af hensyn til et formål, som er en integreret del af leveringen af den kontraktlige tjeneste 
til den registrerede. Behandling af betalingsoplysninger er ikke udelukket med henblik på opkrævning 
for tjenesten. Den dataansvarlige bør være i stand til at påvise, hvordan sagens væsentlige genstand 
for den specifikke kontrakt med den registrerede faktisk ikke kan opfyldes, hvis den specifikke 
behandling af de pågældende personoplysninger ikke forekommer. Det vigtige element her er 
sammenhængen mellem de pågældende personoplysninger og behandlingsaktiviteter, og opfyldelsen 
eller den manglende opfyldelse af tjenesten, der indgår i kontrakten. 


Kontrakter vedrørende digitale tjenester kan indeholde udtrykkelige betingelser, der pålægger 
supplerende betingelser om bl.a. reklame, betaling eller cookies. En kontrakt kan ikke kunstigt udvide 
kategorierne for personoplysninger eller typer af behandlingsaktiviteter, som den dataansvarlige har 
brug for for at opfylde kontrakten, som omhandlet i artikel 6, stk. 1, litra b). 


Den dataansvarlige skal kunne begrunde nødvendigheden af sin behandling under henvisning til den 
grundlæggende og gensidige forståelse af det kontraktlige formål. Dette afhænger ikke udelukkende 
af den dataansvarliges perspektiv, men også af den registreredes begrundede perspektiv ved indgåelse 
af kontrakten, og af hvorvidt kontrakten stadig kan anses for at kunne "opfyldes" uden den 
pågældende behandling. Selvom den dataansvarlige kan anse behandlingen for at være nødvendig af 
hensyn til det kontraktlige formål, er det vigtigt, at vedkommende omhyggeligt tager "en 
gennemsnitlig registrerets" perspektiv i betragtning for at sikre, at der er en reelt gensidig forståelse 
af det kontraktlige formål. 


For at kunne gennemføre vurderingen af, hvorvidt artikel 6, stk. 1, litra b), finder anvendelse, kan 
følgende spørgsmål være nyttige: 


e Hvilken art tjeneste leveres til den registrerede? Hvad er dens karakteristiske egenskaber? 


e Hvad er den præcise begrundelse for kontrakten (dvs. dens indhold og grundlæggende 
målsætning)? 


e Hvad er de væsentlige aspekter af kontrakten? 


e Hvilke gensidige perspektiver og forventninger har kontraktparterne? Hvordan 
promoveres eller annonceres tjenesten for den registrerede? I betragtning af tjenestens 


20 Artikel 29-Gruppens udtalelse 06/2014 om begrebet om den dataansvarliges legitime interesser i henhold til artikel 7 i direktiv 
95/46/EF (WP217), side 16-17. 
21 Ibid., s. 17. 
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34. 


35. 


36. 


37. 


art, ville en almindelig bruger af tjenesten med rimelighed forvente, at den påtænkte 
behandling finder sted med henblik på opfyldelse af kontrakten, som brugeren er part i? 


Hvis vurderingen af, hvad der er nødvendigt af hensyn til opfyldelsen af en kontrakt — som skal finde 
sted før påbegyndelsen af behandling — viser, at den påtænkte behandling går ud over, hvad der er 
objektivt nødvendigt af hensyn til opfyldelsen en kontrakt, indebærer dette ikke, at en sådan fremtidig 
behandling er ulovlig i sig selv. Som allerede nævnt gør artikel 6 det klart, at andre retsgrundlag er 
potentielt disponible forud for indledningen af behandlingen.” 


Hvis der i løbet af en tjenestes levetid introduceres en ny teknologi, der ændrer på, hvordan 
personoplysninger behandles, eller hvis tjenesten udvikler sig på anden vis, skal ovennævnte kriterium 
vurderes på ny for at fastslå, om nye eller ændrede behandlingsaktiviteter kan baseres på artikel 6, 
stk.1, litra b). 








Eksempel 1 


En registreret køber produkter fra en onlinedetailhandler. Den registrerede ønsker at betale med 
kreditkort og at få leveret produkterne til sin hjemmeadresse. For at kunne opfylde kontrakten skal 
detailhandleren behandle den registreredes kreditkortoplysninger og faktureringsadresse med henblik 
på betaling og den registreredes hjemmeadresse med henblik på levering. Derfor finder artikel 6, stk. 
1, litra b), anvendelse, da den udgør et retsgrundlag for disse behandlingsaktiviteter. 


Hvis kunden derimod har valgt forsendelse til et afhentningssted, er behandlingen af den registreredes 
hjemmeadresse ikke længere nødvendig af hensyn til opfyldelse af købskontrakten. Enhver behandling 
af den registreredes adresse vil i den forbindelse kræve et andet retsgrundlag end artikel 6, stk. 1, litra 
b). 











Eksempel 2 


Den samme onlinedetailhandler ønsker at opbygge profiler for brugerens præferencer og livsstilsvalg 
på baggrund af brugerens besøg på webstedet. Færdiggørelsen af købskontrakten er ikke afhængig af 
at opbygge sådanne profiler. Selvom profilering er nævnt specifikt i kontrakten, gør dette ikke 
profilering i sig selv "nødvendig" af hensyn til opfyldelsen af kontrakten. Hvis onlinedetailhandleren 
ønsker at gennemføre en sådan profilering, skal vedkommende påberåbe sig et andet retsgrundlag. 





Inden for rammerne af aftaleretten og, i givet fald, forbrugerlovgivningen, kan dataansvarlige frit 
udforme deres forretning, tjenester og kontrakter. I nogle tilfælde ønsker dataansvarlige måske at 
bundte flere særskilte tjenester eller elementer af en tjeneste med forskellige grundlæggende formål, 
egenskaber eller begrundelser i én kontrakt. Dette kan skabe en "alt eller intet"-situation for 
registrerede, som måske kun er interesserede i én af tjenesterne. 


Som en del af databeskyttelseslovgivningen skal dataansvarlige tage højde for, at de planlagte 
behandlingsaktiviteter skal have et passende retsgrundlag. Hvis kontrakten består af flere særskilte 
tjenester eller aspekter af en tjeneste, der med rimelighed kan opfyldes uafhængigt af hinanden, giver 


22 Se Artikel 29-Gruppens retningslinjer for samtykke i henhold til forordning 2016/679 (WP259), godkendt af 
Databeskyttelsesrådet, side 31, hvoraf det fremgår, at: "I henhold til GDPR er det ikke muligt at skifte mellem flere 
retsgrundlag." 
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38. 


39. 


40. 


41. 


det anledning til spørgsmålet om, i hvilket omfang artikel 6, stk. 1, litra b), kan tjene som retsgrundlag. 
Hvorvidt artikel 6, stk. 1, litra b), kan finde anvendelse, bør vurderes inden for rammerne af hver enkelt 
af disse tjenester særskilt og ved at se på, hvad der er objektivt nødvendigt af hensyn til opfyldelsen af 
hver af de enkelte tjenester, som den registrerede har gjort aktivt krav på eller tilmeldt sig. Denne 
vurdering viser måske, at visse behandlingsaktiviteter ikke er nødvendige for hver af de enkelte 
tjenester, som den registrerede har anmodet om, men snarere nødvendige for den dataansvarliges 
bredere forretningsmodel. I så fald er artikel 6, stk. 1, litra b), ikke et retsgrundlag for disse aktiviteter. 
Derimod kan andre retsgrundlag være tilgængelige for behandlingen, såsom artikel 6, stk. 1, litra a) 
eller f), såfremt de relevante kriterier er opfyldt. Derfor påvirker vurderingen af, hvorvidt artikel 6, stk. 
1, litra b), kan finde anvendelse, ikke som sådan lovligheden af kontrakten eller bundtningen af 
tjenester. 


Som Artikel 29-Gruppen tidligere har bemærket, finder retsgrundlaget kun anvendelse på det, der er 
nødvendigt af hensyn til opfyldelsen af en kontrakt.” Som sådan finder det ikke automatisk anvendelse 
på alle yderligere tiltag, som er udløst af manglende overholdelse, eller på alle andre hændelser i 
udførelsen af en kontrakt. Visse tiltag kan dog rimeligvis forudses og er nødvendige inden for et 
normalt kontraktforhold, såsom at sende formelle rykkerbreve om udestående betalinger, eller at 
rette fejl eller forsinkelser i opfyldelse af kontrakten. Artikel 6, stk. 1, litra b), kan dække behandling af 
personoplysninger, som er nødvendige for så vidt angår sådanne tiltag. 








Eksempel 3 


En virksomhed sælger produkter online. En kunde kontakter virksomheden, fordi farven på det købte 
produkt er anderledes end aftalt. Behandlingen af kundens personoplysninger, med henblik på at 
afhjælpe dette problem, kan baseres på artikel 6, stk. 1, litra b). 





Kontraktlige garantier kan indgå som en del af opfyldelsen af en kontrakt, og derfor kan lagring af visse 
oplysninger i et nærmere specificeret tidsinterval være nødvendig, efter at udveksling af 
varer/tjenester/betaling er afsluttet med henblik på garantier, for opfyldelsen af en kontrakt. 


2.6 Opsigelse af en kontrakt 


En dataansvarlig skal fastsætte det passende retsgrundlag for de påtænkte behandlingsaktiviteter, 
inden behandlingen begynder. Hvis artikel 6, stk. 1, litra b), udgør grundlaget for nogle eller alle 
behandlingsaktiviteter, bør den dataansvarlige forsøge at forudsige, hvad der vil ske, hvis kontrakten 
opsiges.” 


Hvis behandlingen af personoplysninger er baseret på artikel 6, stk. 1, litra b), og kontrakten er afsluttet 
i fuldt omfang, er det en generel regel, at behandlingen af de oplysninger ikke længere er nødvendig 
af hensyn til opfyldelsen af kontrakten, og derfor skal den dataansvarlige indstille behandlingen. Den 
registrerede har måske givet sine personoplysninger inden for rammerne af et kontraktmæssigt 
forhold ud fra den overbevisning, at oplysningerne kun ville blive behandlet som en nødvendig del af 


23 Artikel 29-Gruppens udtalelse 06/2014 om begrebet om den dataansvarliges legitime interesser i henhold til artikel 7 i 
direktiv 95/46/EF (WP217) side 17-18. 

24 Hvis en kontrakt efterfølgende erklæres ugyldig, vil det påvirke lovligheden (som omhandlet i artikel 5, stk. 1, litra a)) af 
fortsat behandling. Det medfører dog ikke automatisk, at valget af artikel 6, stk. 1, litra b), som retsgrundlag var ukorrekt. 
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42. 


43. 


44. 


45. 


dette forhold. Det er dermed urimeligt at skifte til et nyt retsgrundlag, når det oprindelige grundlag 
ophører med at eksistere. 


Når en kontrakt er afsluttet, kan det medføre administrative opgaver, såsom returnering af varer eller 
refundering. Den dermed forbundne behandling kan være baseret på artikel 6, stk. 1, litra b). 


Artikel 17, stk. 1, litra a), fastsætter, at personoplysninger skal slettes, når de ikke længere er 
nødvendige af hensyn til opfyldelsen af de formål, hvortil de blev indsamlet. Dette finder ikke desto 
mindre ikke anvendelse, hvis behandling er nødvendig af hensyn til visse angivne formål, herunder 
overholdelse af en retlig forpligtelse i medfør af artikel 17, stk. 3, litra b), eller for at retskrav kan 
fastlægges, gøres gældende eller forsvares, i medfør af artikel 17, stk. 3, litra e). Det betyder i praksis, 
at hvis dataansvarlige ser et generelt behov for at føre registre med lovligt formål, skal de fastslå et 
retsgrundlag for dette ved indledningen af behandlingen og fra start give klar besked om, hvor længe 
de planlægger at opbevare registre med dette lovlige formål efter opsigelsen af kontrakten. Hvis de 
gør dette, behøver de ikke at slette oplysningerne ved opsigelsen af kontrakten. 


Det kan under alle omstændigheder være, at flere behandlingsaktiviteter med særskilte formål og 
retsgrundlag blev fastsat ved indledningen af behandlingen. Så længe disse andre 
behandlingsaktiviteter vedbliver med at være lovformelige, og den dataansvarlige gav klar besked om 
disse procedurer ved påbegyndelsen af behandlingen i overensstemmelse med forpligtelserne til 
gennemsigtighed i GDPR, vil det stadig være muligt at behandle personoplysninger om den 
registrerede af hensyn til de særskilte formål efter opsigelsen af kontrakten. 








Eksempel 4 


En onlinetjeneste udbyder en abonnementstjeneste, der kan opsiges på et hvilket som helst tidspunkt. 
Når der er indgået en kontrakt om tjenesten, giver den dataansvarlige den registrerede information 
om behandling af personoplysninger. 


Den dataansvarlige forklarer bl.a., at så længe kontrakten løber, vil der blive behandlet oplysninger om 
anvendelsen af tjenesten med henblik på at udstede fakturaer. Det gældende retsgrundlag er artikel 
6, stk. 1, litra b), da behandling med henblik på fakturering kan anses for at være objektivt nødvendig 
af hensyn til opfyldelsen af kontrakten. Når kontrakten opsiges, og der ikke er nogen verserende, 
relevante retskrav eller lovgivningskrav om at gemme oplysninger, slettes brugerhistorikken dog. 


Endvidere informerer den dataansvarlige de registrerede om sin juridiske forpligtelse i henhold til 
national lovgivning til at opbevare visse personoplysninger til regnskabsformål i et nærmere 
specificeret antal år. Det passende retsgrundlag er artikel 6, stk. 1, litra c), og opbevaring vil finde sted, 
selvom kontrakten opsiges. 





2.7 Nødvendig af hensyn til gennemførelsen af foranstaltninger før indgåelsen af en 
kontrakt 


Den anden mulighed i artikel 6, stk. 1, litra b), finder anvendelse, hvis behandling er nødvendig af 
hensyn til gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for 
indgåelse af en kontrakt. Denne bestemmelse afspejler den omstændighed, at foreløbig behandling af 
personoplysninger kan være nødvendig før indgåelsen af en kontrakt, for at lette den faktiske indgåelse 
af kontrakten. 
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46. 


47. 


48. 


49. 


Under behandlingen er det måske ikke klart, hvorvidt en kontrakt reelt vil blive indgået. Den anden 
mulighed i artikel 6, stk. 1, litra b), kan ikke desto mindre finde anvendelse, så længe den registrerede 
fremsætter anmodningen inden for rammerne af en potentiel indgåelse af en kontrakt, og så længe 
den pågældende behandling er nødvendig af hensyn til gennemførelsen af de foranstaltninger, der 
anmodes om. Hvis en registreret kontakter den dataansvarlige med en forespørgsel om detaljerne af 
den dataansvarliges udbud af tjenester, kan behandlingen af den registreredes personoplysninger med 
henblik på at reagere på forespørgslen baseres på artikel 6, stk. 1, litra b), i overensstemmelse hermed. 


Bestemmelsen ville under alle omstændigheder ikke omfatte uanmodet markedsføring eller anden 
behandling, der udføres udelukkende på den dataansvarliges initiativ eller efter anmodning fra en 
tredjemand. 








Eksempel 5 


En registreret giver sit postnummer for at se, om en bestemt tjenesteudbyder driver virksomhed inden 
for personens område. Dette kan anføres som en grund til behandling, der er nødvendig af hensyn til 
gennemførelse af foranstaltninger, der træffes på den registreredes anmodning forud for indgåelsen 
af en kontrakt, i medfør af artikel 6, stk. 1, litra b). 











Eksempel 6 


I nogle tilfælde har finansieringsinstitutter pligt til at identificere deres kunder i medfør af nationale 
love. I overensstemmelse hermed anmoder en bank om at se de registreredes identitetspapirer, inden 
den indgår en kontrakt med dem. 


Identifikationen er i dette tilfælde nødvendig af hensyn til en retlig forpligtelse på vegne af banken og 
ikke af hensyn til gennemførelsen af foranstaltninger på den registreredes anmodning. Derfor er det 
passende retsgrundlag ikke artikel 6, stk. 1, litra b), men artikel 6, stk. 1, litra c). 





3 DEL3 — ANVENDELSESOMRÅDE FOR ARTIKEL 6, STK. 1, LITRA B), I 
SÆRLIGE SITUATIONER 


3.1 Behandling til "forbedring af tjenester"? 

Onlinetjenester indsamler ofte detaljerede oplysninger om, hvordan brugere står i forbindelse med 
deres tjenester. I de fleste tilfælde kan indsamling af organisatoriske målinger vedrørende en tjeneste 
eller detaljer om brugerengagement ikke betragtes som nødvendig af hensyn til leveringen af 
tjenesten, da tjenesten kunne have været leveret i fraværet af behandling af sådanne 
personoplysninger. Ikke desto mindre kan en tjenesteudbyder måske påberåbe sig alternative 
retsgrundlag for denne behandling, såsom legitim interesse eller samtykke. 


Databeskyttelsesrådet anser ikke artikel 6, stk. 1, litra b), for generelt at være et passende retsgrundlag 
for behandling med henblik på at forbedre en tjeneste eller udvikle nye funktioner inden for en 
eksisterende tjeneste. I de fleste tilfælde indgår en bruger en kontrakt for at drage fordel af en 


25 Onlinetjenester skal måske også tage hensyn til Europa-Parlamentets og Rådets direktiv (EU) 2019/770 af 20. maj 2019 om 
visse aspekter af aftaler om levering af digitalt indhold og digitale tjenester (EUT L 136, 22.05.2019, s. 1), der skal gælde fra 
og med den 1. januar 2022. 


14 








50. 


51. 


52. 


53. 


54. 


eksisterende tjeneste. Selvom muligheden for forbedringer og ændringer i en tjeneste regelmæssigt 
kan medtages i kontraktvilkår, kan en sådan behandling normalt ikke betragtes som objektivt 
nødvendig af hensyn til opfyldelsen af kontrakten med brugeren. 


3.2 Behandling til forebyggelse af svig 


Som Artikel 29-Gruppen tidligere har bemærket,” kan behandling med henblik på at forebygge svig 
omfatte overvågning og profilering af kunder. Databeskyttelsesrådet mener, at en sådan behandling 
sandsynligvis vil gå ud over, hvad der er objektivt nødvendigt af hensyn til opfyldelsen en kontrakt med 
en registreret. Dog kan behandlingen af personoplysninger, der er strengt nødvendig med henblik på 
at forebygge svig, udgøre en legitim interesse for den dataansvarlige?” og kunne derfor betragtes som 
lovlig, hvis de specifikke krav i artikel 6, stk. 1, litra f), (legitime interesser) opfyldes af den 
dataansvarlige. Derudover kunne artikel 6, stk. 1, litra c), (retlig forpligtelse) også give et retsgrundlag 
for en sådan behandling af oplysninger. 


3.3 Behandling til adfærdsbaseret onlineannoncering 


Adfærdsbaseret onlineannoncering og dermed forbundet tracking og profilering af de registrerede 
anvendes ofte til at finansiere onlinetjenester. Artikel 29-Gruppen har tidligere udtalt sin mening om 
sådan behandling og anfører: 


[Kontraktlig nødvendighed] er ikke et passende retsgrundlag for at opbygge en profil med 
brugerens præferencer og livsstilsvalg baseret på dennes clickstream på et websted og de 
indkøbte produkter. Den dataansvarlige har nemlig ikke fået til opgave at foretage profilering, 
men snarere f.eks. at levere bestemte varer og tjenesteydelser.” 


Det er en generel regel, at behandling af personoplysninger til adfærdsbaseret onlineannoncering ikke 
er nødvendig af hensyn til opfyldelse af en kontrakt om onlinetjenester. Normalt ville det være 
vanskeligt at argumentere for, at kontrakten ikke var blevet opfyldt, fordi der ikke var nogen 
adfærdsbaserede reklamer. Dette understøttes især af den omstændighed, at registrerede i henhold 
til artikel 21 har den absolutte ret til at gøre indsigelse mod behandling af deres oplysninger med 
henblik på direkte markedsføring. 


Derudover kan artikel 6, stk. 1, litra b), ikke give et retsgrundlag for adfærdsbaseret onlineannoncering, 
alene fordi sådan annoncering indirekte finansierer leveringen af tjenesten. Selvom en sådan 
behandling kan støtte leveringen af en tjeneste, er dette ikke i sig selv tilstrækkeligt til at fastslå, at det 
er nødvendig af hensyn til opfyldelsen af den omhandlede kontrakt. Den dataansvarlige ville skulle 
overveje de ovenstående forhold, som er skitseret i punkt 33. 


Da databeskyttelse er en grundlæggende rettighed, der er sikret ved artikel 8 i Den Europæiske Unions 
charter om grundlæggende rettigheder, og i betragtning af, at et af hovedformålene i GDPR er at give 
de registrerede kontrol over oplysninger, der vedrører dem, kan personoplysninger ikke betragtes som 





26 Artikel 29-Gruppens udtalelse 06/2014 om begrebet om den dataansvarliges legitime interesser i henhold til artikel 7 i 
direktiv 95/46/EF (WP217) side 17. 

27 Se betragtning 47, sjette punktum. 

28 Artikel 29-Gruppens udtalelse 06/2014 om begrebet om den dataansvarliges legitime interesser i henhold til artikel 7 i 
direktiv 95/46/EF (WP217) side 17. 
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en handelsvare. Selv hvis den registrerede kan imødekomme behandlingen af personoplysninger,”” 
kan vedkommende ikke sælge sine grundlæggende rettigheder gennem denne aftale.” 


Databeskyttelsesrådet bemærker også, at  dataansvarlige, i overensstemmelse med 
databeskyttelseslovgivningens bestemmelser og den foreliggende udtalelse fra Artikel 29-Gruppen 
vedrørende adfærdsbaseret onlineannoncering,?”! og arbejdsdokument 02/2013, der giver vejledning i 
at indhente samtykke til cookies,?? skal indhente de registreredes forudgående samtykke for at placere 
de nødvendige cookies til adfærdsbaseret annoncering. 


Databeskyttelsesrådet bemærker også, at tracking og profilering af brugere kan udføres med henblik 
på at identificere grupper af personer med samme karakteristika for at muliggøre målrettet 
annoncering til målgrupper, som ligner hinanden. En sådan behandling kan ikke udføres på grundlag 
af artikel 6, stk. 1, litra b), da det ikke kan siges at være objektivt nødvendig af hensyn til opfyldelsen 
af kontrakten med brugeren at tracke og sammenligne brugeres karakteristika og adfærd med henblik 
på formål, som vedrører annoncering til andre personer. 


3.4 Behandling til personalisering af indhold" 


Databeskyttelsesrådet erkender, at personalisering af indhold kan udgøre et underliggende og 
forventet element for visse onlinetjenester, og derfor i nogle tilfælde kan betragtes som nødvendigt af 
hensyn til opfyldelsen af kontrakten med brugeren af tjenesten. Hvorvidt en sådan behandling kan 
betragtes som et underliggende aspekt ved en onlinetjeneste, afhænger af arten af den leverede 
tjeneste, af den gennemsnitlige registreredes forventninger, i forhold ikke blot til servicevilkårene, 
men også til måden, hvorpå tjenesten formidles til brugerne, og af hvorvidt tjenesten kan leveres uden 
personalisering. Hvis personalisering af indhold ikke er objektivt nødvendig af hensyn til formålet med 
den underliggende aftale, f.eks. hvis levering af personaliseret indhold har til hensigt at øge 
brugerengagement med en tjeneste, men ikke er en integreret del af det at bruge tjenesten, bør 
dataansvarlige overveje et alternativt retsgrundlag, hvor det er relevant. 








Eksempel 7 


En onlinehotelsøgemaskine overvåger brugeres tidligere bookinger for at oprette en profil over deres 
typiske udgifter. Denne profil bruges efterfølgende til at anbefale brugeren bestemte hoteller, når 
denne returnerer søgeresultaterne. I dette tilfælde ville profilering af brugeres tidligere adfærd og 
finansielle data ikke være objektivt nødvendig af hensyn til opfyldelsen af en kontrakt, dvs. leveringen 





29 Se Europa-Parlamentets og Rådets direktiv (EU) 2019/770 af 20. maj 2019 om visse aspekter af aftaler om levering af digitalt 
indhold og digitale tjenester. 

30 Bortset fra det forhold, at personoplysninger reguleres af GDPR, er der yderligere årsager til, at behandling af 
personoplysninger begrebsmæssigt er noget andet end betalinger. F.eks. er penge tællelige, hvilket betyder, at priser kan 
sammenlignes på et konkurrencebaseret marked, og betalinger kan normalt kun foretages med inddragelse af den 
registrerede. Derudover kan personoplysninger udnyttes af flere tjenester på samme tid. Når først kontrollen over ens 
personoplysninger er gået tabt, kan denne kontrol ikke nødvendigvis genvindes. 

31 Artikel 29-Gruppens udtalelse 2/2010 om adfærdsbaseret onlineannoncering (WP171). 

32 Artikel 29-Gruppens arbejdsdokument 02/2013, der giver vejledning i at indhente samtykke til cookies (WP208). 

33 Se også Artikel 29-Gruppens retningslinjer for automatiseret individuel beslutningstagning og profilering i medfør af 
forordning 2016/679 (WP251rev.01), godkendt af Databeskyttelsesrådet, side 13. 

34 Onlinetjenester skal måske også tage hensyn til Europa-Parlamentets og Rådets direktiv (EU) 2019/770 af 20. maj 2019 om 
visse aspekter af aftaler om levering af digitalt indhold og digitale tjenester (EUT L 136, 22.05.2019, s. 1), der skal gælde fra 
og med den 1. januar 2022. 
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af indlogeringstjenester baseret på bestemte søgekriterier leveret af brugeren. Derfor ville artikel 6, 
stk. 1, litra b), ikke finde anvendelse på denne behandlingsaktivitet. 








Eksempel 8 


En onlinemarkedsplads gør det muligt for potentielle købere at kigge på og købe produkter. 
Markedspladsen ønsker at vise personaliserede forslag til produkter, der er baseret på, hvilke 
oversigter, de potentielle købere tidligere har studeret på platformen, for at øge interaktivitet. Denne 
personalisering er ikke objektivt nødvendig af hensyn til leveringen af markedspladstjenesten. Derfor 
kan sådan behandling af personoplysninger ikke påberåbe sig artikel 6, stk. 1, litra b), som retsgrundlag. 
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